JSAC2024 Day2 (JAN 26th)
Analysis of Activities and Tools ofPhishing Actors Targeting JapanNTT Communications Corporation.
Yuichi Tsuboi, Masaomi Masumoto© NTT Communications Corporation All Rights Reserved.

免責事項 / Disclaimer• 本講演ではフィッシングコミュニティを使った調査活動についてお話ししていますが、気軽にフィッシングコミュニティでフィッシングアク
ターの活動を覗いたり、フィッシングサイトにアクセスすることを推奨するものではありません• (覗くだけの⽬的だとしても) フィッシングアクターとの接触は、フィッ
シングアクターに捕捉されうる⾏為です• ⾃らの⾝を守り（OPSEC︓Operation Security）、
⾃らの責任（が取れる範囲）において実施してください© NTT Communications Corporation All Rights Reserved.

2

Speakers
Yuichi Tsuboi
NTT Communications Corporation
Cyber Threat Intelligence Operations Architect

Masaomi Masumoto
NTT Communications Corporation
Cyber Threat Intelligence Researcher© NTT Communications Corporation All Rights Reserved.

3

Overview• 近年、フィッシング詐欺被害が増加傾向にあり、PhaaSの台頭によりエコシステムが急速に拡⼤しており、その結果フィッシング詐欺に関わる「フィッシングアクター」の分業化がより⼀層進んでいる。
• 我々はフィッシング詐欺の把握のため「フィッシングアクター」の活動追跡及び実際に利⽤されているフィッシングキットの分析に取り組んだ。
• 本講演では「フィッシングアクター」の活動事例紹介やフィッシングキッ
トの分析結果など知⾒を共有する。フィッシングハンターや現場対応されている⽅々のフィッシング対策に少しでも貢献できると幸いと考えている。

© NTT Communications Corporation All Rights Reserved.

4

Agenda1.近年のフィッシング被害の状況
2.フィッシングコミュニティについて
3.フィッシングアクターの活動について
4.フィッシングキットの分析内容について
5.まとめ© NTT Communications Corporation All Rights Reserved.

5

Agenda1.近年のフィッシング被害の状況
2.フィッシングコミュニティについて
3.フィッシングアクターの活動について
4.フィッシングキットの分析内容について
5.まとめ© NTT Communications Corporation All Rights Reserved.

6

近年のフィッシング被害の状況• フィッシング対策協議会が⽉次報告書として公開しているフィッシング
報告状況についてを過去5年を遡って確認したところ、年間のフィッシン
グ報告件数は右肩上がりで推移し続けている。
• 2023年分の報告件数は1,196,390件となっており、2022年の報告件数(968,832件)を上回っていることがわかっている。
フィッシング報告件数
1,500,000
968,832

1,000,000
526,504

500,000
0© NTT Communications Corporation All Rights Reserved.

1,196,390

55,787
2019

224,676

2020

2021

2022

2023
7

近年のフィッシング被害の状況• 2022年と⽐較して1.2倍、2019年から2023年の５年間で約20倍にまで増加していることがわかる。

フィッシング報告件数

約2000%の増加率
1,500,000

1,196,390
968,832

1,000,000
526,504

500,000
55,7870© NTT Communications Corporation All Rights Reserved.

2019

224,676

2020

2021

2022

2023
8

フィッシング⾏為の分業化

フィッシング対策協議会が公開している「フィッシング対策ガイドライ
ン 2023年度版」にも⾔及されているとおり、近年確認されているフィッ
シングにおいては、⼯程（ 計画、 調達、構築、誘導、詐取、収益化および強化拡⼤）ごとの専⾨分業体制が確認されている。
こうした分業体制によるフィッシン
グサービス提供（PhaaS）やコミュ
ニティでのフィッシングキット配布
により、フィッシング⾏為が容易に実⾏可能となったことが被害が増加している要因の⼀つと⾒られる。
© NTT Communications Corporation All Rights Reserved.

フィッシング対策ガイドライン 2023年度版
P.8 図3 フィッシングの複雑な例 より
https://www.antiphishing.jp/report/antiphishing_guideline_2023.pdf
9

フィッシング⾏為の分業化• 我々はフィッシング詐欺におけるフィッシングアクターの活動に着⽬し、⽇本をターゲットとしたフィッシングアクターを追跡し、フィッシング
アクター同⼠が交流するフィッシングコミュニティの動向について調査を⾏った。

© NTT Communications Corporation All Rights Reserved.

10

Agenda1.近年のフィッシング被害の状況
2.フィッシングコミュニティについて
3.フィッシングアクターの活動について
4.フィッシングキットの分析内容について
5.まとめ© NTT Communications Corporation All Rights Reserved.

11フィッシングアクターの活動場所

l チャットツールl マーケットプレース
l フィッシングフォーラムl etc.

© NTT Communications Corporation All Rights Reserved.

12

チャットツール(Telegram)© NTT Communications Corporation All Rights Reserved.

13マーケットプレース(Tor)© NTT Communications Corporation All Rights Reserved.

14フィッシングフォーラム© NTT Communications Corporation All Rights Reserved.

15

会場限定公開© NTT Communications Corporation All Rights Reserved.

16調査したフィッシングコミュニティの特徴

l 不特定多数のアクターが存在している
l 個⼈だったり、集団だったり
l 役割ごとにコミュニティが分かれていたりする© NTT Communications Corporation All Rights Reserved.

17

まとめ

l サーフェスウェブからダークウェブまでいろんな場所で活動している
l 攻撃者は⾝近なところにもいる
l 不特定多数のアクターで構成されている© NTT Communications Corporation All Rights Reserved.

18

Agenda1.近年のフィッシング被害の状況
2.フィッシングコミュニティについて
3.フィッシングアクターの活動について
4.フィッシングキットの分析内容について
5.まとめ© NTT Communications Corporation All Rights Reserved.

19フィッシングアクターの種類
l ツールを開発する⼈
l サービスを運⽤する⼈
l 詐欺を実⾏する⼈
l 窃取した情報を販売する⼈
l etc.

© NTT Communications Corporation All Rights Reserved.

20フィッシング詐欺の流れ
Setup

Start

Steal

Abuse

• Phishing kit• Send Mail

• Credential• Monetization• Server• Send SMS• Card Info

• Email• etc.

• etc.

© NTT Communications Corporation All Rights Reserved.

21

会場限定公開© NTT Communications Corporation All Rights Reserved.

22

まとめ

l いろんな役割をもったアクターが活動している
l アクター同⼠が交流したり、協⼒したりしている
l ⾔語の壁も超えて活動している© NTT Communications Corporation All Rights Reserved.

23

Agenda1.近年のフィッシング被害の状況
2.フィッシングコミュニティについて
3.フィッシングアクターの活動について
4.フィッシングキットの分析内容について
5.まとめ© NTT Communications Corporation All Rights Reserved.

24フィッシングキットの分析内容について「フィッシングコミュニティについて」「フィッシングアクターの活動について」で取り扱った事例のなかで、実際にフィッシングコミュニティから⼊⼿することができたフィッシングキットの内容分析を⾏った。
ここからは「どのブランドを語っているか」「どんな動作をしているか」という分析結果を２つほど紹介する。

© NTT Communications Corporation All Rights Reserved.

25

ケース１︓Amazonを騙ったフィッシングキット© NTT Communications Corporation All Rights Reserved.

26

ケース１︓Amazonを騙ったフィッシングキット

直近では2023年12⽉まで猛威を奮っており、urlscan.ioでは1⽉に⼊っても使われていることを確認している。
• 侵害ブランド︓Amazon• File Name︓JP亚马逊源码（防红防乱填）.zip（※英語に訳すと「JP Amazon source code (anti-red and anti-filling).zip」）• File Hash（SHA1）︓58c55affaeb845ca5f5021730d4c2927b482bdc2© NTT Communications Corporation All Rights Reserved.

27

ケース１︓Amazonを騙ったフィッシングキット
デバッグモードの設定

main.phpの中にデバッグモードの設定
項⽬がある。
デバッグモードがONの時、IP範囲外の国からのアクセスや、特定のユーザー
エージェントを持つクローラーからのア
クセスを拒否するクローキング機能が有効化される。

© NTT Communications Corporation All Rights Reserved.

main.php28

ケース１︓Amazonを騙ったフィッシングキット
機能構成

Amazonを騙ったフィッシングキットには以下の機能が具備している。
1. アクセス元情報収集機能
2. クローキング機能
3. クローラー検知機能
4. フィッシングコンテンツ© NTT Communications Corporation All Rights Reserved.

29

ケース１︓Amazonを騙ったフィッシングキット

1. アクセス元情報収集機能
フィッシングキットにアクセスしてきたアクセス元の以下の情報を収集する。

•
•
•
•
•

IPアドレス
地理情報
クライアントのOS情報
IPアドレスに紐づくISP名
クライアントで使⽤されてるWebブラウザ© NTT Communications Corporation All Rights Reserved.

30

ケース１︓Amazonを騙ったフィッシングキット
1. アクセス元情報収集機能
リクエストヘッダ（HTTP_CLIENT_IP,
HTTP_X_FORWARDED_FOR,REMOTE_ADDR）から有効なIPアド
レスを⾒つけて取得する。

main.php© NTT Communications Corporation All Rights Reserved.

31

ケース１︓Amazonを騙ったフィッシングキット
1. アクセス元情報収集機能
リクエストヘッダのUserAgentからクライアントのOS情報を取得する。

© NTT Communications Corporation All Rights Reserved.

main.php32

ケース１︓Amazonを騙ったフィッシングキット
1. アクセス元情報収集機能
リクエストヘッダのUserAgentからクライアントの使⽤しているWebブラウザ情報を取得する。

main.php© NTT Communications Corporation All Rights Reserved.

33

ケース１︓Amazonを騙ったフィッシングキット
1. アクセス元情報収集機能
セッション情報に国名が存在しているかを確認。
セッション情報に国名が設定されていない場合、外部サービスを利⽤してアクセス元IPアドレ
スの地理情報を取得する。
うまく国名が取得できなかった
場合は別の外部サービスを利⽤し、２段階で地理情報を取得する。

main.php© NTT Communications Corporation All Rights Reserved.

34

ケース１︓Amazonを騙ったフィッシングキット
1. アクセス元情報収集機能
アクセス元IPアドレスを元に外部サービス（Extreme IP Lookup)
を利⽤してISP名を取得する。

main.php© NTT Communications Corporation All Rights Reserved.

35

ケース１︓Amazonを騙ったフィッシングキット

2.クローキング機能
デバッグモードがONの時に動作。アクセス元情報収集機能で収集した「送信元IPアドレス」「国」「OS情報」「ISP」「ブラウザ」などの情報を活⽤し、様々な条件
でアクセスを拒否する。観測できた条件は以下の通り。
• ホスト名• IPレンジ• User Agent• ISP• ブラウザとOS• VPNやProxyを使っている否か• 過去に窃取済みのアクセス元IPアドレスか否か• ⽇本か⽇本国外か© NTT Communications Corporation All Rights Reserved.

36

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元ユーザのホスト名がフィッ
シングキット内で定義されているアクセス拒否対象のホスト名⼀覧と⽐較し判定する。

blocker.php© NTT Communications Corporation All Rights Reserved.

37

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元IPアドレスがフィッシング
キット内で定義されているアクセス拒
否対象のIPレンジ⼀覧と⽐較し判定する。

© NTT Communications Corporation All Rights Reserved.

blocker.php38ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元のUserAgentがフィッシング
キット内で定義されているアクセス拒否
対象のUserAgent⼀覧と⽐較し判定する。

blocker.php© NTT Communications Corporation All Rights Reserved.

39

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元のISPがフィッシング
キット内で定義されているアクセス
拒否対象のISP⼀覧と⽐較し判定する。

blocker.php© NTT Communications Corporation All Rights Reserved.

40

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元クライアントのWeb
ブラウザがフィッシングキット
内で定義されていないWebブラウザであることを判定する。

blocker.php© NTT Communications Corporation All Rights Reserved.

41

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元クライアントのOSがフィッシングキット内で定義されていないOSかどうかを判定する。

blocker.php© NTT Communications Corporation All Rights Reserved.

42

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス元がVPNまたはProxyを利⽤しているかの判定を外部サー
ビスを⽤いて実施する。

© NTT Communications Corporation All Rights Reserved.

blocker.php

43ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
セッションに”once”がセットされているかどうかをチェック。

api/api_session.php“Once”は1度既に窃取済みのアクセス元であることを表す
フラグのようなものと推測される。
ここでは既に窃取済みのアクセス元はアクセスを拒否する。

© NTT Communications Corporation All Rights Reserved.

44

ケース１︓Amazonを騙ったフィッシングキット
2.クローキング機能
アクセス許可国リストを定義し、事前に収集した国名がアクセス許可国
リストに含まれているかを確認

api/api_session.php
このフィッシングキット内では「Japan」または「JP」
をアクセス許可国リストとして定義していることから、⽇本だけをターゲットにしているというのが推測できる© NTT Communications Corporation All Rights Reserved.

45

ケース１︓Amazonを騙ったフィッシングキット

3. クローラー検知機能
CrawlerDetectとReferralSpamDetectという外部ツー
ルを利⽤してウェブクローラーやリ
ファラースパムを検出する。

crawlerdetect.php© NTT Communications Corporation All Rights Reserved.

Jaybizzle/CrawlerDetect/CrawlerDetect.php

46
Jaybizzle/ReferralSpamDetect / ReferralSpamDetect.php

ケース１︓Amazonを騙ったフィッシングキット

3. クローラー検知機能
CrawlerDetectではUser Agent内に特定の⽂字列が含まれるかの確認し、判定を⾏う。
ReferralSpamDetectではRefererURLに特定の⽂字列が含まれているか確認し、判定を⾏う。

crawlerdetect.php© NTT Communications Corporation All Rights Reserved.

47

ケース１︓Amazonを騙ったフィッシングキット
4.フィッシングコンテンツ
フィッシングコンテンツはVue.jsを使って構成されている。
index.htmlの中でvue-routerを使ったページのルーティングを⾏っており、フィッシングサイトの処理に合わせて実施し、さまざまなコン
テンツが⽤意された複数の
JavaScriptを呼び出している。

index.html© NTT Communications Corporation All Rights Reserved.

呼び出される番号JavaScript48

ケース１︓Amazonを騙ったフィッシングキット

4.フィッシングコンテンツ

以下はフィッシングサイトのログイン画⾯と呼び出されるコード© NTT Communications Corporation All Rights Reserved.

49

ケース１︓Amazonを騙ったフィッシングキット

4.フィッシングコンテンツ

以下は個⼈情報⼊⼒画⾯と呼び出されるコード© NTT Communications Corporation All Rights Reserved.

50

ケース１︓Amazonを騙ったフィッシングキット

4.フィッシングコンテンツ

以下はクレジットカード情報の⼊⼒画⾯と呼び出されるコード© NTT Communications Corporation All Rights Reserved.

51

ケース１︓Amazonを騙ったフィッシングキット

4.フィッシングコンテンツ

⼊⼒されたクレジットカード情報を元に外部サービスを使ったBINコードの取得機能も実装されている。

api/send_card.php© NTT Communications Corporation All Rights Reserved.

52

ケース１︓Amazonを騙ったフィッシングキット

4.フィッシングコンテンツ

以下はフィッシングサイトの３Dセキュア⼊⼒画⾯とsubmit時に呼び出されるコード© NTT Communications Corporation All Rights Reserved.

53

ケース１︓Amazonを騙ったフィッシングキット
4.フィッシングコンテンツ
ここまでに⼊⼒された情報はテキストファイルに記録され、フィッ
シングアクターにメール送付される。

© NTT Communications Corporation All Rights Reserved.

api/send_3d.php

54ケース１︓まとめ• Amazonを騙ったフィッシングキット「JP亚马逊源码（防红防乱填）.zip」はVue.jsを使って作られており、アクセス元のリクエスト
ヘッダやセッションから情報収集を⾏い、細かい判定処理を設けてクローキングを実装している。
• 外部ツールのCrawlerDetectやReferralSpamDetectなどを使うことでクローラー検知の処理を簡素化している。
• フィッシングサイトに⼊⼒された情報はテキストファイルに出⼒された
のちにフィッシングアクターに直接メール送付される。

© NTT Communications Corporation All Rights Reserved.

55

ケース2︓SMBCを騙ったフィッシングキット© NTT Communications Corporation All Rights Reserved.

56

ケース２︓SMBCを騙ったフィッシングキット

SMBCのクレジットカードサービスを模倣したのフィッシングキット。
• 侵害ブランド︓SMBC（三井住友銀⾏）• File Name︓三井.zip• File Hash（SHA1）︓2a0a37dedffae95f46b2a51066e44c06058bf764© NTT Communications Corporation All Rights Reserved.

57

ケース２︓SMBCを騙ったフィッシングキット
READMEREADME.mdファイルが配置されており、動作環境の説明とThinkPHPの使い⽅が書かれていることから、ThinkPHPを使って作られていることがわかる。

© NTT Communications Corporation All Rights Reserved.

README.md

58

ケース２︓SMBCを騙ったフィッシングキット
設定関連

フィッシングキットの可変設定値に関しては configディレクトリ
配下に配置されているPHPファイルで定義が⾏われている。
フィッシングアクターが使⽤する時に設定変更するのは
public/static/config.js辺りのようでクローキング実施時に転送す
る先のURL、ipregistryサービスを利⽤するためのAPI key、取得
した情報の保存先を設定することができる。
public/static/config.js© NTT Communications Corporation All Rights Reserved.

59

ケース２︓SMBCを騙ったフィッシングキット

機能構成
SMBCを騙ったフィッシングキットには以下の機能が具備している。
1.アクセス元情報収集機能
2.クローキング機能
3.クローラー検知機能
4.フィッシングコンテンツ
5.取得情報管理機能© NTT Communications Corporation All Rights Reserved.

60

ケース２︓SMBCを騙ったフィッシングキット
1. アクセス元情報収集機能
外部サービスのIP Registryを利⽤しアクセス元情報の取得を⾏う。

smbc/view/index/index.html© NTT Communications Corporation All Rights Reserved.

61

ケース２︓SMBCを騙ったフィッシングキット
2. クローキング機能
フィッシングキットで定義されているアクセス拒否条件の判定を⾏う。判定条件は次の３つ。

smbc/view/index/index.html© NTT Communications Corporation All Rights Reserved.

62

ケース２︓SMBCを騙ったフィッシングキット
2. クローキング機能①アクセス元ユーザーのOSがiOS
またはAndroidでない場合（つまり、モバイルデバイスでない場
合）にlocalhostにリダイレクトさせる。

smbc/view/index/index.html

この動作からフィッシングキットは
モバイルユーザをターゲットにしている様⼦© NTT Communications Corporation All Rights Reserved.

63

ケース２︓SMBCを騙ったフィッシングキット
2. クローキング機能②アクセス元ユーザーがabuser
または攻撃者、あるいは調査⽬
的で特定の接続タイプ（CDNや
ホスティングサービス、Proxyや
Tor、VPNを使っているか）を使⽤しているかをチェックする。
判定条件に⼀致している場合、
localhostにリダイレクトさせる。
⼀般ユーザーが通常アクセスしている
環境とはかけ離れた環境からのアクセスかどうかをチェックしている様⼦

smbc/view/index/index.html© NTT Communications Corporation All Rights Reserved.

64

ケース２︓SMBCを騙ったフィッシングキット
2. クローキング機能③②の判定結果以外の場合次の処理を⾏う。ローカルストレージに
isLoadの項⽬が存在している場合、
configAllに設定されている
URLtargetの値にリダイレクトを⾏う。

なお、configAll.URLtargetの設定はpublic/static/config.jsで設
smbc/view/index/index.html
定している値であり、このフィッ
シングキットの取得時のデフォル
この処理の中では窃取済みのアクセス元か否かを判定しト値はhttps:/www[.]smbc- ており、窃取済みのアクセス元である場合は、設定されcard[.]com/である。
ている本物のSMBCサイトにリダイレクトを⾏う© NTT Communications Corporation All Rights Reserved.

65

ケース２︓SMBCを騙ったフィッシングキット
3. クローラー検知機能
リクエスト情報からReferrerやUserAgent,ServerNameなどの情報を取得する。
許可しないクローラーリストを定義し、ブラウザの情報に許可しないクローラー名が含まれているかチェックする。

smbc/public/index.php© NTT Communications Corporation All Rights Reserved.

66

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
以下はフィッシングサイトのログイン画⾯と呼び出されるコード

smbc/view/index/indexinfore.html© NTT Communications Corporation All Rights Reserved.

67

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
Submit押下時にDBに登録を⾏う。

smbc/view/index/indexinfore.html© NTT Communications Corporation All Rights Reserved.

68

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
以下はクレジットカード情報の⼊⼒画⾯と呼び出されるコード。

© NTT Communications Corporation All Rights Reserved.

smbc/view/index/card.html

69

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
クレジットカード情報の⼊⼒画⾯の⼊⼒情報が正しく⼊⼒されていることが確認できたら、DBに登録を⾏う。

smbc/view/index/indexinfore.html© NTT Communications Corporation All Rights Reserved.

70

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
以下は本⼈確認情報の⼊⼒画⾯と呼び出されるコード。

smbc/view/index/address.html© NTT Communications Corporation All Rights Reserved.

71

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
本⼈確認情報の⼊⼒画⾯で次に⾏くボタンを押下するとDBに登録を⾏う。

smbc/view/index/indexinfore.html© NTT Communications Corporation All Rights Reserved.

72

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
以下は３Dセキュア情報の⼊⼒画⾯と呼び出されるコード。

smbc/view/index/sendcode.html© NTT Communications Corporation All Rights Reserved.

73

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
３Dセキュア情報の⼊⼒画⾯で3Dセキュア情報を⼊⼒して次に⾏くボタンを押すとDBに登録を⾏う。

smbc/view/index/indexinfore.html© NTT Communications Corporation All Rights Reserved.

74

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
成功画⾯表⽰後、設定されたURL（このフィッシングキットではSMBCの公式サイト）にリダイレクトを⾏う。

smbc/view/index/finish.html© NTT Communications Corporation All Rights Reserved.

75

ケース２︓SMBCを騙ったフィッシングキット

4.フィッシングコンテンツ
成功画⾯表⽰後、設定されたURL（このフィッシングキットではSMBCの公式サイト）にリダイレクトを⾏う。

smbc/view/index/finish.html© NTT Communications Corporation All Rights Reserved.

76

ケース２︓SMBCを騙ったフィッシングキット

5. 取得情報管理機能

フィッシングサイトで⼊⼒された情報はデータベースに蓄積されており、蓄積された情報を確認する管理画⾯が存在している。（ローカルに⽴ち上げて確認しようとしたらデザインが崩れてしまっていたのでソースを元にした再現イメージ）

smbc/view/admon/login.html© NTT Communications Corporation All Rights Reserved.

77

ケース２︓SMBCを騙ったフィッシングキット

5. 取得情報管理機能

取得情報を⼀覧表⽰する画⾯も備わっている。（こちらもうまく画⾯が再現できなかったので画⾯はソースを元にした再現イメージ）

smbc/view/admon/index.html© NTT Communications Corporation All Rights Reserved.

78

ケース２︓SMBCを騙ったフィッシングキット
5. 取得情報管理機能

フィッシングキット内ではMySQLを使ってデータが格納されている。

▲3Dセキュアの情報▲クレジットカード情報© NTT Communications Corporation All Rights Reserved.

▲個⼈情報

79

ケース２︓SMBCを騙ったフィッシングキット

5. 取得情報管理機能

取得情報をファイルに出⼒する機能も備えている。

smbc/view/admon/login.html© NTT Communications Corporation All Rights Reserved.

80

ケース２︓まとめ• SMBCを騙ったフィッシングキット「三井.zip」もVue.jsを使って作られており、外部サービスを使って得た情報を⽐較条件として、クローキ
ングを実装している。
• Amazonを騙ったフィッシングキットとは違いクローラー検知については⼒を⼊れていない様⼦。
• 窃取した情報はフィッシングキットが展開されているサーバー内のDBに蓄積しており、フィッシングアクターが管理画⾯から⼀覧を閲覧した
り、テキストファイル出⼒を⾏うことができる。

© NTT Communications Corporation All Rights Reserved.

81

Indicator of Compromise の活⽤について• フィッシングキットの特徴をもとにIoC（Indicator ofCompromise）を⽣成することで、SIEMログに対するハンティン
グや未知のサイト分析に利⽤することができる。
• 今回はインテリジェンスの活⽤⽅法の⼀つとしてIndicator Of Kitというものを紹介する。

© NTT Communications Corporation All Rights Reserved.

82

IOK（Indicator Of Kit）とは• IOK（Indicator Of Kit）はフィッシングサイトを検出及び分析するために設計された、オープンソースの検出ルールフォーマット。
• Sigmaルールをベースにフィッシングサイトに特化したIndicator ofCompromise をYaml形式で記述する。

https://phish.report/IOK© NTT Communications Corporation All Rights Reserved.

83

IOK（Indicator Of Kit）とは• ⽣成したIOKはGitHubリポジトリ（https://github.com/phish-report/IOK）にPull Requestを送ることができる。
• 公開されているindicatorを使⽤してIoCの条件に⼀致するフィッシングサイト調査に活⽤することができる。

© NTT Communications Corporation All Rights Reserved.

84

IOK（Indicator Of Kit）とは• GitHubリポジトリ上にCommitされているルールはブラウザ上からも確認することができる（ https://phish.report/IOK/indicators ）© NTT Communications Corporation All Rights Reserved.

85

IOK（Indicator Of Kit）の活⽤例• Web画⾯（https://phish.report/IOK）のExampleにIOKを⼊⼒し、Rulematchesの更新ボタンを押すとIOKに記載されたルールに⼀致したurlscan.ioの登録結果を取得できます。

© NTT Communications Corporation All Rights Reserved.

86

まとめ

• ⽇本をターゲットにした各フィッシングキットはフィッシングキットごとに特徴はあるものの、様々なクローキング処理を実装しており、フィッシングハンターや現場対応者によるアクセスを回避しようとしている。
• フィッシングキットの中⾝を分析することで、「フィッシングアク
ター」がどのようなクローキングを実装して検知を回避しているかを知ることができた。
• フィッシングサイトを調査するためのIndicator Of Compromise をフィッシングキットから⽣成することで、類似のフィッシングサイトの調査を効率化することができる。
© NTT Communications Corporation All Rights Reserved.

87

アジェンダ1.近年のフィッシング被害の状況
2.フィッシングコミュニティについて
3.フィッシングアクターの活動について
4.フィッシングキットの分析内容について
5.まとめ© NTT Communications Corporation All Rights Reserved.

88

本講演のまとめ• 「フィッシングコミュニティ」では「フィッシングアクター」によりフィッシングキット
や個⼈情報の悪⽤⽅法・収益化を簡易化するツールの売買が⾏われていることがフィッシ
ング⾏為の分業体制が実現・維持されている要因の⼀つと考えられる。
• 不特定多数の「フィッシングアクター」がサーフェスウェブからダークウェブなど、⾄る所で活動しており、我々の⾝近なところでも存在している。
•「フィッシングコミュニティ」ではいろんな役割をもったアクター同⼠が⾔語の壁も超えて活発に交流が⾏われている。

•

フィッシングキットごとに特徴があり、分析結果からIOC（IOK）を⽣成・共有すること
で、類似のフィッシングサイトの調査に役⽴てることができる。

•

守る側も協⼒し合い、フィッシング被害の軽減・撲滅を測っていきたい。

© NTT Communications Corporation All Rights Reserved.

89Thank you︕
Your comments & feedbacks
are always welcome!
e-mail: ic-na4sec@ntt.com© NTT Communications Corporation All Rights Reserved.

90

References[1] フィッシング対策協議会 ⽉次報告書『2023/11 フィッシング報告状況』（2023/12/12）
https://www.antiphishing.jp/report/monthly/202311.html[2] フィッシング対策協議会『フィッシング対策ガイドライン 2023年度版』（2023/06/01）
https://www.antiphishing.jp/report/antiphishing_guideline_2023.pdf[3] GitHubリポジトリ｜CrawlerDetecthttps://github.com/JayBizzle/Crawler-Detect[4] Phish Report 『Indicator Of Kit（IOK）』
https://phish.report/IOK[5] GitHubリポジトリ｜Indicator of kit
https://github.com/phish-report/IOK© NTT Communications Corporation All Rights Reserved.

91

Appendix

Amazonを語ったフィッシングキットのディレクトリ構成© NTT Communications Corporation All Rights Reserved.

92

Appendix

SMBCを語ったフィッシングキットのディレクトリ構成（ファイル数が多すぎて２階層⽬まで）© NTT Communications Corporation All Rights Reserved.

93

Appendix

⽇本をターゲットにしたAmazonを語ったフィッシングキットのIOK
title: Amazon_Phishing_Detection
description: |Detects a Amazon phishing kit targeting Japanese users.
references:- https://urlscan.io/result/b75b2254-d248-4ab6-ae21-4969e5e9d837
detection:
AppJSContains:
dom|contains:- 'type="text/javascript" src="/static/js/app.'ContentScript:
requests|contains:- '11.8b1570ce205b9a0d5ecb.js'
condition: AppJSContains and ContentScript© NTT Communications Corporation All Rights Reserved.

94Appendix

⽇本をターゲットにしたSMBCを語ったフィッシングキットのIOK
title: SMBC_Phishing_Detection
description: |Detects a SMBC phishing kit targeting Japanese users.
references:- https://urlscan.io/result/e52f427c-1f90-4ad3-990b-ab9d2184dad2
detection:
FormContains:
dom|contains:- 'method="post" action="https://www.smbccard.com/memapi/jaxrs/xt_login/agree/v1" novalidate=""'ChunkVendorsScript:
requests|contains:- 'chunk-vendors.7d63933e.js'
condition: FormContains and ChunkVendorsScript© NTT Communications Corporation All Rights Reserved.

95